MobiKwik respondió a una presunta filtración de datos de 110 millones de usuarios con una negación y una amenaza legal

MobiKwik es una de las mayores carteras de pago móvil de la India y custodia los documentos de identidad que las normas indias exigen a los clientes presentar: datos KYC, números de identidad Aadhaar, datos de tarjetas y teléfonos. A principios de marzo de 2021, un investigador de seguridad informó de que un conjunto de datos que supuestamente pertenecía a MobiKwik, correspondiente a unos 110 millones de usuarios, había aparecido a la venta en un foro de la dark web.

La respuesta de MobiKwik fue una negación inmediata. El 4 de marzo afirmó que no había encontrado ninguna brecha de seguridad, y su equipo jurídico dijo que tomaría medidas estrictas contra el investigador. Cuando los usuarios empezaron a comprobar y a informar de que algunos de los datos filtrados parecían auténticos, la historia no hizo más que crecer. El equipo de emergencias informáticas de la India, CERT-In, compartió una muestra de los datos con MobiKwik; la empresa dijo que la muestra no eran sus datos.

La negación no contuvo la crisis. Con la acusación ya pública y contestada, el Banco de la Reserva de la India (RBI) ordenó a MobiKwik someterse a una auditoría forense de sus sistemas por parte de un auditor certificado por CERT-In. Una empresa de pagos que maneja datos de identidad había convertido una acusación de seguridad en un examen regulatorio.

El caso se cita ahora por su respuesta a la crisis más que por la brecha en sí, que MobiKwik siguió disputando. Cuando a una empresa que custodia datos sensibles se le dice que ha sufrido una filtración, negarlo y amenazar al mensajero invita a usuarios, investigadores y al regulador a verificarlo, y la auditoría del regulador, no la negación de la empresa, pasa a ser la historia.

La negación y una amenaza legal invitaron a la verificación, por lo que el RBI ordenó una auditoría forense, haciendo que la auditoría, y no la negación, fuera la historia.

MobiKwik custodiaba los documentos de identidad que exigen las normas indias —datos KYC y Aadhaar—, por lo que cualquier presunta filtración era automáticamente un acontecimiento de alto riesgo y gran atención.

Su primera respuesta fue negar y amenazar legalmente al investigador, antes de cualquier investigación transparente, lo que agrandó la historia en lugar de reducirla.

Una vez que los usuarios y CERT-In pusieron a prueba la afirmación, la negación pareció evasiva; la empresa perdió el control de la narrativa frente a quien pudiera verificar los datos.

Convertir una acusación de seguridad en una disputa con el mensajero atrajo al Banco de la Reserva de la India, que ordenó una auditoría forense que la empresa ahora tendría que superar.

Cuando se custodian datos sensibles y se recibe el aviso de que se han filtrado, negarlo y amenazar legalmente resulta contraproducente. Los usuarios, los investigadores y el regulador lo verificarán, y la auditoría, no la negación, pasa a ser la historia.

MobiKwik sostuvo que sus sistemas no habían sido vulnerados y cooperó con la auditoría ordenada por el RBI. El episodio se convirtió en un ejemplo ampliamente enseñado en la India de cómo no gestionar una acusación de seguridad de datos: para una empresa a la que se confían datos de identidad, la respuesta a una denuncia de filtración es en sí misma una prueba de confianza, y una negación defensiva puede costar más que la acusación original.